CVE-2026-114123

Nome do Software Vulnerável e Versões Afetadas D365 F&O MCP Server versões anteriores a 1.11.0

Descrição A implantação de um clique do Azure define o parâmetro apiKey como uma string vazia por padrão, que é então passada para a configuração API KEY do App Service. Quando esta chave está vazia ou não definida, o middleware apiKeyAuth.ts permite que as solicitações passem sem autenticação, e o listener HTTP em index.ts vincula-se a 0.0.0.0 por padrão. Essa configuração permite solicitações JSON-RPC não autenticadas para o endpoint /mcp. Mesmo quando o MCP SERVER MODE está definido como read-only, usuários anônimos podem acessar ferramentas como search, get object info, batch get info, extension info, security info, find references e find event handlers. Isso expõe trechos de código-fonte X++ proprietários e metadados, incluindo lógica de negócios, estruturas de privilégios e funções de segurança, e rótulos do PackagesLocalDirectory.

Recomendações Atualize para a versão 1.11.0. Configure uma chave de API não vazia durante a implantação. Implemente restrições de rede ou autenticação upstream para evitar o acesso não autorizado ao endpoint /mcp.